发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 Q~`n%uYg\{
---------------------------- m]85F^R0
rem delvi.bat aX~7Nsl R
:loop Vki3D'.7N
attrib -h -r -s exp1orer.exe 5 gE
del exp1orer.exe oY &r76
attrib -h -r -s mshosts.exe AV?*r-vWL.
del mshosts.exe \JX8`]|&
attrib -h -r -s c:\winnt\intrenat.exe h4]yIM `8d
del c:\winnt\intrenat.exe nlK WZYv
attrib -h -r -s interapi32.dll N( Cfv 3{
del inetapi32.dll 3 S Dw-k
attrib -h -r -s interapi64.dll {epsiHK@tK
del inetapi64.dll 1L3L!@
attrib -h -r -s mfcd3o.dll mwBOhEefNJ
del mfcd3o.dll M!,WU[mP
goto loop {sbQf7)
---------------------------- V7.EDE2A3
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 Nt/>RC h
=O CHV+m
搜索注册表，发现： /P320[B}m&
x.!%'{+ {
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] ~qRP.bV%f
@="hookmir" #=h~Lr'UH
e4t'3So
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] b }Jcj
@="C:\\WINNT\\system32\\interapi64.dll" r@ ]{`qA
"ThreadingModel"="Apartment" ) "'J]6
}oU 0J
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] hC,EO&
@="interapi64.classname" i0hF9M
xGN&RjPk\
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 `uY77co6
VCtj8hKD r
[HKEY_CLASSES_ROOT\interapi64.classname] kd2+k4 @#
@="hookmir" G o8 m
:\>@yCD
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] f $R ]m2
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" \ 7jK6;R<
------------------------ aqtQGK57"%
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 1O 8RGk4
?
3Td>x
\Explorer\ShellExecuteHooks] kLK}N>v}X
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" VXQ~P F]z0
W2s6!_AN
把它们统统删除后，重新启动计算机。 F t'?43J
再去删除interapi64.dll，OK! Y'wQ(6ok
jCkYzQUPz
总结一下可以启动就加载的地方： aVEg%8
1、我们熟悉的Run/Winlogon之类的地方 3nMXfh/
2、IE的插件 w!7Hl9BW
3、ShellExecuteHooks ZJ1 %
ry0P\wY}
R ]H/ Jv\'
}9=VhC%J
